Des secrets d’État exposés sur Internet? Comment le chef de la cyberdéfense américaine a téléchargé des fichiers sensibles sur une version publique de ChatGPT

Le directeur par intérim de la cyberdéfense américaine a "accidentellement" téléchargé des fichiers sensibles sur une version publique de ChatGPT. Cette erreur aurait déclenché des alertes internes et une évaluation des dommages au sein du Département de la Sécurité intérieure, alors même que le service américain de cybersécurité traverse un moment compliqué.

Le service américain de cybersécurité traverse une période de turbulences inédites. Affaiblie par des coupes budgétaires successives et par un shutdown ayant directement affecté l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA), l’architecture fédérale de protection numérique se retrouve dans une situation de plus en plus fragile.

Ces décisions compromettent les mécanismes de coordination indispensables pour anticiper et contenir les cyberattaques, au moment même où les menaces, notamment celles liées à l’essor de l’intelligence artificielle, s’intensifient.

Selon une évaluation de la Commission bipartisane Cyberspace Solarium, les États-Unis accusent un retard préoccupant dans la mise en œuvre des 82 objectifs destinés à renforcer leur cyberdéfense. L’amiral à la retraite Mark Montgomery attribue ce décrochage aux restrictions budgétaires imposées à la CISA, ainsi qu’aux perturbations engendrées par les interventions du DOGE au sein de plusieurs agences fédérales stratégiques.

Mais ce n'est pas fini. La Cisa se retrouve encore au centre d'un vortex médiatique... et numérique. Selon Politico, Madhu Gottumukkala, directeur par intérim de la CISA, a accidentellement téléchargé l’été dernier des documents sensibles sur une version publique de ChatGPT, attirant ainsi un fort niveau de critiques.

L’incident s’est produit alors même que l’accès à ChatGPT était bloqué pour la plupart des employés du Department of Homeland Security (DHS), l’instance fédérale qui supervise la CISA. Madhu Gottumukkala avait toutefois obtenu une dérogation spéciale de la part du bureau du Chief Information Officer de l’agence pour utiliser l’outil, ce qui l’a autorisé... à y déposer des fichiers internes.

Des documents sensibles sur ChatGPT

Les documents téléchargés n’étaient pas "classifiés", mais ils étaient marqués "For Official Use Only", une mention qui indique qu’ils contiennent des informations sensibles non destinées à être rendues publiques. Ces téléchargements ont déclenché à plusieurs reprises des alertes automatisées de cybersécurité, conçues pour empêcher le vol ou la divulgation involontaire de données gouvernementales sur les réseaux fédéraux.

Le chatbot ChatGPT (image d'illustration) © Photo par KLAUDIA RADECKA / NurPhoto / NurPhoto via AFP

L’affaire a suscité une réaction en chaîne au sein du DHS, avec le lancement d’une revue interne pour évaluer les risques potentiels pour la sécurité. La CISA a, de son côté, répondu que l’utilisation de ChatGPT par son directeur par intérim avait été de "courte durée et limitée", tout en affirmant que l’agence reste engagée à exploiter l’intelligence artificielle de manière contrôlée.

Toutefois, pour les experts et de nombreux médias outre-Atlantique, le fait de partager des documents confidentiels ou sensibles avec des chatbots comporte un risque majeur: ces informations peuvent être collectées par les grandes entreprises qui exploitent ces outils, voire être réintégrées dans leurs bases de données et potentiellement accessibles au grand public.

En d’autres termes, une donnée interne mal protégée peut, en quelques clics, se retrouver exposée à l’ensemble du web... comme si un secret d’État était livré à l’espace numérique mondial.

Un mandant à la CISA contesté

Le mandat de Madhu Gottumukkala à la tête par intérim de la CISA s’est ouvert dans un contexte politique tendu, après le blocage par le sénateur Rick Scott de la nomination de Sean Plankey. Choisi par la secrétaire à la Sécurité intérieure Kristi Noem, Gottumukkala mettait en avant plus de 24 ans d’expérience en informatique et en cybersécurité, notamment acquise dans l'État du Dakota du Sud .

Mais sa légitimité est contestée des deux côtés de l’échiquier politique. Des départs et des réaffectations (au moins 65 agents) alimentent les inquiétudes sur l’avenir de l’agence, tandis que des soupçons de mauvaise gestion, notamment autour de l’usage de ChatGPT, ont fragilisé un peu plus sa position et celle de son entourage.

Donald Trump lors d'une conférence de presse à la Maison Blanche, mardi 20 janvier (image d'illustration) © BFMTV

Le Congrès s’est également alarmé des menaces persistantes en matière de cybersécurité, notamment après les licenciements massifs ayant fait chuter les effectifs de la CISA "de 3.400 à 2.400 agents" en quelques mois. Des élus ont alerté sur les risques pour la sécurité nationale, l’intégrité des élections et la capacité de l’agence à faire face à de potentielles tensions avec la Chine ou la Russie.

Auditionné à la Chambre, Madhu Gottumukkala a assuré que la CISA était en train de "reprendre sa mission", sans toutefois convaincre pleinement. Son incapacité à estimer le volume de cyberattaques attendues lors des élections de mi-mandat de 2026 a suscité de vives critiques, notamment du républicain Tony Gonzales, qui a dénoncé un manque de préparation et d’anticipation. Peut-être que ChatGPT pourrait finalement aussi... lui fournir plus de renseignements sur ce dossier.